Visual Studio ફક્ત VPN પર ધીમું? CRL અને OCSP ચકાસો

Visual Studio ઘરે સામાન્ય રીતે શરૂ થાય છે, પછી એ જ લેપટોપ કોર્પોરેટ ટનલમાં જોડાય છે અને દરેક લોન્ચ અડધી મિનિટ સુધી સ્પ્લેશ સ્ક્રીન પર રહે છે. નીતિ દૂર કરો તો વિલંબ પણ તેની સાથે જાય છે; ટનલ દૂર કરો તો એ જ થાય છે. બંને અવલોકનો સાચાં છે, તેથી બંને ઘટકો એકબીજાને દોષ આપતા રહે છે. નિર્ણાયક પ્રશ્ન એ છે કે સર્ટિફિકેટ રિવોકેશન ક્વેરી ફક્ત ટનલ જે માર્ગ આપે છે તેની રાહ જોઈ રહી છે, અથવા તેને કોઈ માર્ગ મળતો જ નથી.

લોન્ચ નહીં, ફેચનો સમય માપો

એક WDAC નીતિ, જે સહી કરેલી SiPolicy.p7b તરીકે ઉપયોગમાં લેવાય છે, તે નક્કી કરે છે કે મશીન પર કઈ ઇમેજ ચાલી શકે. કોડ ઇન્ટિગ્રિટી ઇમેજની સહીની સાંકળને ચલાવતા પહેલા ચકાસે છે, અને તે ચકાસણીમાં રિવોકેશનનો પ્રશ્ન હોઈ શકે. જવાબ CRL વિતરણ બિંદુ અથવા OCSP રિસ્પોન્ડર પર આધાર રાખે છે, જેનું નામ સર્ટિફિકેટ તેની અંદર આપે છે.

આ સામાન્ય નેટવર્ક વિનંતીઓ છે, તેથી તેમનો ખર્ચ રિસ્પોન્ડર ક્યાં છે તેના પર આધાર રાખે છે. જ્યારે તે ફક્ત ટનલ દ્વારા જ પહોંચી શકાય, અથવા તેનું નામ ફક્ત ટનલ પાછળના DNS સર્વર દ્વારા જ ઉકેલાય છે, ત્યારે ચકાસણી ટનલ તૈયાર થવાની રાહ જુએ છે. Visual Studio શરૂ થતી વખતે મોટી સંખ્યામાં સહી કરેલી એસેમ્બલી અને એક્સ્ટેન્શન લોડ કરે છે, અને દરેક ઇમેજ દીઠ નાનો વિલંબ દેખાતા અટકાવમાં ફેરવાય છે. કંઈપણ બગડેલું નથી અને નીતિ બરાબર તેમ જ વર્તે છે જેમ ગોઠવાયેલી છે, તેથી નીતિ દૂર કરવાથી સમસ્યા સુધરેલી લાગે છે.

દરેક સહી કરેલી ઇમેજ નેટવર્ક કૉલ કરી શકે છે

ડિસ્ક પર પહેલેથી રહેલી સહી કરેલી બાઈનરી ફાઈલથી શરૂ કરો અને પ્લેટફોર્મને લોન્ચ જે ફેચ વર્તન વાપરે છે તે જ રીતે તેને ચકાસવા કહો. આદેશને એક વાર ટનલ પર અને એક વાર તેની બહાર ચલાવો, પછી અંતિમ ચુકાદાને બદલે ફેચની લાઈનોની સરખામણી કરો.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

આઉટપુટ સાંકળ, CRL અને OCSP સરનામાં અને દરેક ફેચ સફળ થયો કે નહીં તે સૂચિબદ્ધ કરે છે. જે રિસ્પોન્ડર ટનલ પર સમય પૂરો કરે છે અને તેની બહાર જવાબ આપે છે તે જ તમને જોઈતો પુરાવો છે, અને તે ધીમાપણાની લાગણીથી ઘણો વધુ વજન ધરાવે છે. જો ફેચ ધીમે સફળ થાય, તો સરનામું નોંધો જેથી આગળનું પગલું તે હોસ્ટને સીધું ચકાસી શકે.

રિસ્પોન્ડરનું હોસ્ટ નામ ઉકેલો અને એપ્લિકેશનની બહાર પહોંચ ચકાસો, કારણ કે જે નામ ઉકેલાતું નથી તેને કોઈ ક્લાયન્ટ સેટિંગ કદી સુધારશે નહીં. CodeIntegrity ઓપરેશનલ લોગ પુરાવાનો બીજો અડધો ભાગ પૂરો પાડે છે, ચકાસણીની ઘટનાને ધીમા લોન્ચના ટાઈમસ્ટેમ્પ સાથે જોડે છે.

નિયંત્રણ દૂર કર્યા વિના વિલંબ ઘટાડો

નીતિ નિષ્ક્રિય કરવી અથવા ઓડિટ મોડમાં લઈ જવી વિલંબ દૂર કરે છે અને સંસ્થાએ લાગુ કરેલું નિયંત્રણ દૂર કરે છે, તેથી તેને ખોટો સુધારો ગણો. સાંકડા વિકલ્પો છે રૂટિંગ ફેરફાર જેથી રિસ્પોન્ડર ટનલ દ્વારા પહોંચી શકાય, રિસ્પોન્ડર હોસ્ટ માટે સ્પ્લિટ ટનલમાં અપવાદ, જ્યારે નામ પહોંચ ન થાય તેવા સરનામે ઉકેલાય ત્યારે DNS સુધારો, અથવા રિવોકેશન ડેટા માટે સમર્થિત કેશિંગ પ્રોક્સી. દરેકનો અલગ માલિક છે: PKI ટીમ રિસ્પોન્ડરની પહોંચ ધરાવે છે, નેટવર્ક ટીમ ટનલ વિભાજન ધરાવે છે અને એન્ડપોઈન્ટ ટીમ નીતિ ધરાવે છે.

દરેક રિવોકેશન હોસ્ટને ટનલમાંથી બાકાત કરવું આપમેળે સુરક્ષિત નથી, કારણ કે આંતરિક રિસ્પોન્ડર જાણી જોઈને આંતરિક હોઈ શકે. PKI ચલાવતી ટીમ સાથે અપવાદની પુષ્ટિ કરો તે પહેલા કે તમે એવો નિયમ લખો જે સર્ટિફિકેટ ચકાસણીઓને ચૂપચાપ જાહેર ઇન્ટરનેટ પર મોકલે. તે પુષ્ટિ વિના કરેલો ફેરફાર તે પ્રકારનો છે જે આગલા નીતિ રિફ્રેશ પર પાછો ખેંચાય છે.

ફેરફાર પછી કોલ્ડ સ્ટાર્ટ ચકાસો

બંને સ્થિતિમાં કોલ્ડ સ્ટાર્ટ માપો અને આંકડા રાખો, કારણ કે એસેમ્બલીઓ કેશમાં આવી ગયા પછી ગરમ સ્ટાર્ટ લગભગ કંઈ સાબિત કરતું નથી. નવા સેશનમાંથી લોન્ચનું પુનરાવર્તન કરો જેથી એક્સ્ટેન્શન લોડ થવાનો માર્ગ ફરી વપરાય.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

સુધારેલી ગોઠવણી હજી પણ રિસ્પોન્ડરનો સંપર્ક કરે છે, અથવા તમારી PKI ટીમે મંજૂર કરેલો કેશ માર્ગ વાપરે છે, અને લોગ દર્શાવે છે કે ચકાસણી સમય પૂરો થવાને બદલે પૂર્ણ થાય છે. પુષ્ટિ કરો કે તાજેતરમાં સહી કરેલી એપ્લિકેશન હજી પણ શરૂ થાય છે, કારણ કે બધું મંજૂર કરતી નીતિ સફળ સુધારો નથી. સક્રિય નીતિ ફોલ્ડર અને અમલીકરણ સ્થિતિ પણ ચકાસો, જેથી ખબર પડે કે તમે ડિબગ કરી રહ્યા છો તે નીતિ જ ચાલી રહી છે. સર્ટિફિકેટ સાંકળ, રિસ્પોન્ડરનું સરનામું અને લોન્ચના ટાઈમસ્ટેમ્પ એક જ ટિકિટમાં રાખો, કારણ કે નવીકરણ સામાન્ય રીતે રિસ્પોન્ડરને ખસેડે છે અને અપવાદ અથવા DNS નિયમ જૂનો રહેવા દે છે.